¿Llegó ESP pero no se descifró nada? Siga las etapas de entrada

Cuando el contador de cifrado de un cortafuegos sube mientras el túnel no entrega nada, el instinto es ampliar una regla de acceso. Ese instinto se salta la propia secuencia de comprobaciones del receptor. Un paquete ESP entrante pasa por varias etapas, y cada una puede terminar la vida del paquete por un motivo distinto: ninguna asociación coincidente, un fallo de repetición o de integridad, o un paquete interior correcto pero no permitido más adelante. Nombrar la etapa que falló convierte una afirmación vaga de que IPsec está roto en un contador concreto y una corrección concreta.

La llegada es una observación, no tres

Una captura externa que muestre que ESP llega a la puerta de enlace solo demuestra que llegó el paquete exterior. La aceptación significa que el receptor encontró la asociación y validó el paquete. La entrega significa que el paquete interior recuperado se encaminó a su destino y se respondió. Son resultados separados, y un panel que los fusiona oculta justo la información que necesita.

La misma distinción explica un informe habitual: el contador de cifrado de un extremo sube mientras el otro no informa de ningún tráfico descifrado útil. Ambas afirmaciones pueden ser ciertas a la vez, porque describen etapas distintas del mismo intento.

La búsqueda de la asociación ocurre antes del descifrado

El receptor reensambla los fragmentos si hace falta y luego encuentra la asociación de seguridad del paquete. En unicast ordinario la eligen el SPI y el destino. Sin una asociación válida no hay más procesamiento, por eso un SPI obsoleto o desajustado produce silencio en lugar de un error visible para la aplicación.

Las asociaciones son direccionales y pueden cambiar durante una renovación de claves, así que anote el extremo receptor, el SPI y la marca de tiempo junto a la asociación de entrada que considere actual. Una asociación de salida mostrada, o una relación IKE sana, no sustituye a la que debería recibir este paquete.

Las comprobaciones de repetición e integridad rechazan antes de que exista una carga útil

Una vez encontrada la asociación, el receptor aplica los algoritmos que esta especifica. Si la protección contra repetición está activada, se rechaza un número de secuencia fuera de la ventana. Un fallo de la comprobación de integridad también termina el procesamiento, porque el ICV no coincide con el paquete tal como se recibió. Ninguno de los dos casos produce un paquete interior descifrado, así que nada llega al enrutamiento, la política ni la aplicación.

Use los errores y contadores documentados de la implementación para estas condiciones en lugar de tratar cada fallo de recepción como una denegación de la lista de acceso. Desactivar la integridad o la protección contra repetición para que aparezca tráfico no demuestra que el paquete entrante fuera legítimo; elimina la comprobación que decía la verdad.

El puerto UDP 4500 es un contenedor, no un veredicto

El paso por NAT lleva ESP dentro de UDP, y el mismo puerto también lleva mensajes IKE y de mantenimiento. Por tanto, la actividad en el 4500 dice que algo usa el puerto, no que la aplicación haya producido un paquete ESP. Clasifique la carga antes de atribuirla al tráfico de datos.

Esto importa cuando la captura es la única prueba disponible. Un mensaje de mantenimiento que llega puntual puede hacer que un túnel muerto parezca vivo, y un mensaje IKE puede hacer que una captura parezca más ocupada de lo que realmente es el camino de datos.

Solo después de la extracción se aplican el enrutamiento y la política

Cuando el descifrado tiene éxito, el paquete interior recuperado entra en la ruta normal: comprobaciones de política, enrutamiento, reglas de reenvío y el host de destino. Un paquete puede pasar todas las comprobaciones de seguridad y aun así descartarse aquí, y la ruta de respuesta también debe existir. Ese fallo pertenece al reenvío, no a ESP.

Mantenga los contadores ligados a su etapa documentada. La recepción en la interfaz, el ESP aceptado, los bytes descifrados y los paquetes interiores reenviados no tienen por qué ser el mismo número, sobre todo cuando una ruta acelerada gestiona el plano de datos y el plano de control informa por separado. Una etiqueta genérica del panel no es prueba de que dos contadores signifiquen lo mismo.

Para una operación autorizada nueva, conserve el último límite confirmado y el primer error relevante. Ese par le dice al siguiente administrador si debe investigar la entrega del transporte, la asociación y la integridad, o el reenvío interior ordinario, y evita la corrección habitual de volver permisiva cada regla para mover un número.